Lekarz na B2B a IOD

 

Dlaczego lekarz pracujący w szpitalu na kontrakcie B2B powinien korzystać z IOD lub eksperta ds. RODO?

1. Uzasadnienie prawne i organizacyjne

Lekarz wykonujący świadczenia zdrowotne w szpitalu na podstawie kontraktu B2B powinien rozważyć stałą współpracę z inspektorem ochrony danych (IOD) lub ekspertem ds. ochrony danych osobowych. Wynika to przede wszystkim z charakteru przetwarzanych danych, odpowiedzialności lekarza za własne działania oraz konieczności rozdzielenia obowiązków szpitala od obowiązków lekarza jako przedsiębiorcy.

Najważniejsze jest to, że kontrakt B2B nie przenosi automatycznie na szpital całej odpowiedzialności lekarza za przetwarzanie danych osobowych. Jednocześnie nie oznacza, że lekarz zawsze jest odrębnym administratorem danych swoich pacjentów. Status ten należy ustalić na podstawie rzeczywistego podziału decyzji, celów i sposobów przetwarzania danych, a nie wyłącznie na podstawie formy zatrudnienia.

Lekarz może korzystać z systemów informatycznych, infrastruktury i dokumentacji szpitala, ale jednocześnie prowadzić własną działalność gospodarczą, zawierać umowy z innymi podmiotami, korzystać z własnego sprzętu lub świadczyć usługi w kilku placówkach. Każda z tych okoliczności może rodzić odrębne ryzyka związane z ochroną danych.

2. Dlaczego lekarz B2B potrzebuje profesjonalnego wsparcia?

1. Odpowiedzialność za dane pacjentów

Lekarz przetwarza dane dotyczące zdrowia, czyli szczególną kategorię danych osobowych w rozumieniu art. 9 RODO. Nieprawidłowe udostępnienie dokumentacji, utrata danych lub wysłanie ich niewłaściwemu odbiorcy może prowadzić do poważnych konsekwencji prawnych, finansowych i zawodowych.

2. Ustalenie, kto jest administratorem danych

W zależności od organizacji świadczeń administratorem może być szpital, lekarz prowadzący własną praktykę albo więcej niż jeden podmiot w odpowiednim zakresie. Ekspert pomaga ustalić role i obowiązki oraz ocenić, czy potrzebne są dodatkowe uzgodnienia lub umowy.

3. Bezpieczne korzystanie z systemów i sprzętu

Korzystanie z prywatnego telefonu, poczty elektronicznej, chmury, komunikatorów lub nośników danych do celów zawodowych może spowodować nieuprawnione ujawnienie danych. Ekspert określa dopuszczalne zasady korzystania ze sprzętu i pomaga wdrożyć adekwatne zabezpieczenia.

4. Umowy z dostawcami usług

Jeśli lekarz jako przedsiębiorca korzysta z zewnętrznego systemu medycznego, księgowego, hostingu, poczty lub usług IT, trzeba ustalić role stron i wymagane zabezpieczenia. Gdy dostawca przetwarza dane w imieniu lekarza, może być konieczna umowa powierzenia zgodna z art. 28 RODO.

5. Reagowanie na naruszenia ochrony danych

W przypadku wycieku dokumentacji, utraty urządzenia lub nieuprawnionego dostępu trzeba szybko ocenić ryzyko i ustalić obowiązki zgłoszeniowe. Zależnie od roli lekarza oraz okoliczności naruszenia obowiązki mogą spoczywać na szpitalu, lekarzu lub obu podmiotach w ich właściwym zakresie.

6. Dowody zgodności z RODO

W razie kontroli, skargi pacjenta lub sporu lekarz powinien móc wykazać, że przyjął adekwatne środki ochrony danych. W zależności od zakresu jego działalności może to wymagać procedur, analizy ryzyka, ewidencji upoważnień, dokumentowania incydentów oraz weryfikacji dostawców.

3. IOD czy ekspert ds. RODO – kogo powinien wybrać lekarz?

To rozróżnienie ma znaczenie prawne i praktyczne.

Kryterium	IOD	Ekspert ds. RODO
Status	Formalnie wyznaczona funkcja na podstawie art. 37–39 RODO	Doradca lub podmiot świadczący usługi zgodności
Główne zadanie	Informowanie, doradzanie, monitorowanie zgodności i współpraca z organem nadzorczym	Praktyczna pomoc w dokumentacji, analizach, umowach i zabezpieczeniach
Niezależność	Musi być zapewniona zgodnie z art. 38 RODO	Zakres niezależności wynika z umowy i zasad wykonywania usługi
Dokumentacja	Może doradzać i monitorować, ale nie przejmuje odpowiedzialności administratora	Może przygotowywać dokumentację i wspierać wdrożenie rozwiązań
Obowiązek posiadania	Zależy od przesłanek z art. 37 RODO	Nie ma ogólnego obowiązku zatrudniania eksperta
Forma współpracy	Zatrudnienie lub umowa o świadczenie usług; funkcję można powierzyć zewnętrznie	Umowa B2B, abonament lub zlecenie konkretnego zadania

Ważne: lekarz nie ma automatycznego obowiązku wyznaczania własnego IOD tylko dlatego, że pracuje na kontrakcie B2B w szpitalu. Obowiązek trzeba ocenić na podstawie art. 37 RODO, w szczególności tego, czy główna działalność obejmuje przetwarzanie danych o zdrowiu na dużą skalę.
W przypadku indywidualnej praktyki lekarskiej samo przetwarzanie danych pacjentów nie oznacza automatycznie obowiązku wyznaczenia IOD.

Jeżeli lekarz nie ma obowiązku powołania IOD, ale potrzebuje pomocy w realizacji obowiązków RODO, często bardziej adekwatna będzie współpraca z ekspertem ds. RODO, który będzie wspierał go w konkretnych zadaniach.

4. Dlaczego IOD szpitala nie zawsze wystarczy?

IOD szpitala doradza administratorowi danych, którym w typowej sytuacji jest szpital, i monitoruje przestrzeganie przepisów w zakresie jego działalności. Nie oznacza to automatycznie, że zapewnia lekarzowi prowadzącemu działalność B2B pełną obsługę jego własnej działalności gospodarczej.

Przykładowo, lekarz może potrzebować odrębnego wsparcia w zakresie:

• ustalenia, czy w konkretnym procesie działa jako osoba upoważniona przez szpital, odrębny administrator czy podmiot pełniący inną rolę;
• weryfikacji umów zawieranych przez jego praktykę z dostawcami systemów i usług;
• oceny ryzyka korzystania z prywatnych urządzeń, poczty i chmury;
• określenia zasad przechowywania i usuwania dokumentacji;
• przygotowania na wypadek naruszenia ochrony danych;
• oceny, czy dokumentacja i rozwiązania organizacyjne jego własnej praktyki są adekwatne do rzeczywistych procesów.

Nie należy jednak tworzyć dokumentacji ani dublować procedur tylko po to, by formalnie posiadać własny zestaw dokumentów. Zakres wsparcia musi wynikać z faktycznej roli lekarza i rzeczywistych procesów przetwarzania danych.

5. Uzasadnienie biznesowe – dlaczego to się lekarzowi opłaca?

Z punktu widzenia lekarza prowadzącego działalność gospodarczą współpraca z ekspertem ds. RODO może być traktowana jako element zarządzania ryzykiem zawodowym i biznesowym, a nie tylko jako koszt administracyjny.

Potencjalny problem	Wartość wsparcia eksperta
Wyciek danych pacjentów	Pomoc w ocenie naruszenia, dokumentowaniu zdarzenia i ustaleniu obowiązków
Spór ze szpitalem o odpowiedzialność	Analiza podziału ról, umów, uprawnień i obowiązków
Nieprawidłowa umowa z dostawcą IT	Weryfikacja zgodności umowy i zasad przetwarzania danych
Skarga pacjenta lub kontrola UODO	Przygotowanie dokumentacji i wsparcie w odpowiedzi na zarzuty
Zmiana systemu informatycznego lub rozpoczęcie współpracy z nowym podmiotem	Ocena ryzyka przed wdrożeniem
Korzystanie z własnego sprzętu i usług chmurowych	Opracowanie zasad ograniczających ryzyko nieuprawnionego dostępu

Trzeba przy tym pamiętać, że sama umowa z ekspertem ani wyznaczenie IOD nie zwalnia lekarza z odpowiedzialności za jego własne decyzje i działania. Wsparcie specjalisty pomaga jednak właściwie rozpoznać ryzyka, wdrożyć zabezpieczenia i wykazać dochowanie należytej staranności.

6. Uzasadnienie do oferty usług dla lekarzy B2B

Dlaczego lekarz pracujący na kontrakcie B2B powinien mieć własne wsparcie w zakresie RODO?

Kontrakt B2B nie oznacza, że wszystkie obowiązki związane z ochroną danych osobowych przejmuje szpital. Zakres odpowiedzialności lekarza zależy od rzeczywistej roli, jaką pełni w poszczególnych procesach przetwarzania danych.

Lekarz wykonujący działalność gospodarczą funkcjonuje nie tylko jako członek zespołu medycznego, ale również jako przedsiębiorca, który może zawierać własne umowy, korzystać z usług zewnętrznych dostawców i podejmować decyzje dotyczące organizacji swojej praktyki.

Dane pacjentów, w szczególności dane dotyczące zdrowia, wymagają szczególnej ochrony. Błąd w sposobie ich przechowywania, udostępniania lub zabezpieczenia może prowadzić do skarg pacjentów, postępowań przed organem nadzorczym, roszczeń odszkodowawczych i sporów dotyczących odpowiedzialności.

Dlatego warto zapewnić sobie profesjonalne wsparcie IOD lub eksperta ds. RODO, który pomoże ustalić obowiązki lekarza, zweryfikować umowy, ocenić ryzyka, przygotować odpowiednią dokumentację i opracować zasady bezpiecznego korzystania z systemów informatycznych.

Nie chodzi o tworzenie dokumentów dla samej dokumentacji. Chodzi o to, aby lekarz wiedział, za co odpowiada, jakie środki ochrony powinien stosować i jak wykazać, że prawidłowo realizuje obowiązki wynikające z RODO.

RODO w praktyce lekarskiej to nie tylko obowiązek formalny. To również element ochrony zawodowej, bezpieczeństwa pacjentów i stabilności prowadzonej działalności gospodarczej.

Lekarzu – własna praktyka to także własne RODO

 

🩺 LEKARZU – PROWADZISZ WŁASNĄ DZIAŁALNOŚĆ? TWOJE RODO NIE PILNUJE SIĘ SAMO.

Własna praktyka lekarska oznacza nie tylko pacjentów, dokumentację i rozliczenia.

To również odpowiedzialność za dane osobowe i dane dotyczące zdrowia.

I właśnie dlatego warto rozważyć IOD z outsourcingu – nawet wtedy, gdy prowadzisz jednoosobową praktykę.

Dlaczego?

🔴 1. Dane medyczne to dane szczególnej kategorii
Dokumentacja pacjentów, wyniki badań, diagnozy czy informacje o leczeniu wymagają szczególnej ochrony.

🔴 2. Lekarz jest administratorem danych
Korzystanie z programu medycznego, chmury, systemu rejestracji czy usług IT nie oznacza automatycznego przeniesienia odpowiedzialności za RODO na dostawcę.

🔴 3. Jeden błąd może dotyczyć wielu pacjentów
Wyciek z systemu, błędna wiadomość e-mail, niewłaściwie udostępniona dokumentacja czy utrata urządzenia mogą oznaczać naruszenie ochrony danych.

🔴 4. RODO to nie tylko klauzula informacyjna
Potrzebne są m.in. analiza ryzyka, procedury, upoważnienia, umowy powierzenia, zasady retencji, obsługa praw pacjentów i procedura naruszeń.

🔴 5. Technologie zmieniają ryzyko
Elektroniczna dokumentacja, chmura, telemedycyna, AI, systemy rejestracji online, monitoring czy komunikacja z pacjentem tworzą kolejne obszary wymagające kontroli.

🔴 6. IOD daje lekarzowi stałe wsparcie
Nie trzeba za każdym razem szukać prawnika lub firmy „od RODO”, kiedy pojawi się problem.

💡 A co z kosztem?

IOD z outsourcingu nie musi oznaczać dużego stałego wydatku.

Możliwe są dwa modele:

📌 ABONAMENT IOD
Stała miesięczna opłata obejmująca bieżące konsultacje, przegląd dokumentacji, wsparcie przy incydentach, umowach i nowych rozwiązaniach IT.

📌 IOD NA ZLECENIE
Z góry określona, stała stawka za konkretną usługę – np. analizę ryzyka, audyt dokumentacji, analizę umowy z dostawcą systemu, OSOD (DPIA) czy obsługę naruszenia.

To oznacza, że lekarz nie musi tworzyć etatu ani utrzymywać rozbudowanego działu compliance, żeby mieć dostęp do specjalistycznego wsparcia.

Najważniejsze:

IOD nie jest po to, żeby lekarz miał więcej dokumentów.

IOD ma pomóc lekarzowi wiedzieć, jakie dokumenty są rzeczywiście potrzebne, jakie ryzyka występują i co zrobić, kiedy pojawia się problem.

🩺 Prowadzisz praktykę lekarską?

Nie czekaj na incydent, skargę pacjenta albo pytanie UODO.

Outsourcing IOD – abonament lub konkretne zlecenie, ze stałą i przewidywalną stawką.

📩 Napisz, jeśli chcesz sprawdzić, jaki model wsparcia IOD będzie odpowiedni dla Twojej praktyki.

rodoamaj@gmail.com    

Masz JDG? Twój dostawca IT mówi: „Nie podpisujemy umów powierzenia”

 

Masz JDG? Twój dostawca IT mówi: „Nie podpisujemy umów powierzenia”. I co teraz?

„Jesteśmy dużą firmą, mamy tysiące klientów.”

„Nasz standardowy regulamin wystarczy.”

„Nie wypełniamy takich formularzy.”

„Nie podpisujemy indywidualnych umów powierzenia.”

Brzmi znajomo?

Problem w tym, że dla RODO nie ma znaczenia, jak duży jest Twój dostawca IT.

Jeżeli firma IT ma dostęp do danych Twoich klientów, pracowników, kontrahentów, poczty, systemu księgowego, CRM, serwera, backupów czy innych zasobów, musisz wiedzieć:

🔹 czy jest procesorem, czy działa w innej roli,

🔹 na jakiej podstawie przetwarza Twoje dane,

🔹 czy masz prawidłowo uregulowany art. 28 RODO,

🔹 czy dostawca daje wystarczające gwarancje bezpieczeństwa,

🔹 kto jest jego podprocesorem,

🔹 gdzie znajdują się Twoje dane,

🔹 co dzieje się w przypadku incydentu,

🔹 czy dane są przekazywane poza EOG,

🔹 co stanie się z danymi po zakończeniu współpracy.

I najważniejsze:

Nie możesz powiedzieć UODO:

„To bardzo duża firma IT, więc założyłem, że wszystko jest zgodne z RODO.”

To Ty jesteś administratorem.

To Ty musisz wykazać, że prawidłowo wybrałeś i zweryfikowałeś podmiot, któremu powierzasz dane.

A co, jeśli dostawca IT odmawia?

Nie zawsze oznacza to, że musisz natychmiast zerwać współpracę.

Można:

✅ przeanalizować umowę i regulaminy dostawcy,
✅ sprawdzić, czy istnieje jego DPA,
✅ zweryfikować zakres przetwarzania,
✅ przeprowadzić ocenę procesora,
✅ zażądać informacji o zabezpieczeniach i podprocesorach,
✅ udokumentować odmowę współpracy,
✅ przeprowadzić ocenę ryzyka,
✅ przygotować działania naprawcze,
✅ a dopiero później zdecydować, czy dalsza współpraca jest możliwa.

Najgorszym rozwiązaniem jest nic nie robić.

Bo wtedy nie masz ani prawidłowej weryfikacji procesora, ani dokumentacji pokazującej, że jako ADO próbowałeś problem rozwiązać.

I właśnie w tym pomagam JDG.

Mogę dla Ciebie:

📌 przeanalizować umowy z dostawcami IT, księgowością, hostingiem, chmurą i innymi usługodawcami,

📌 ustalić, kiedy rzeczywiście występuje powierzenie z art. 28 RODO,

📌 przygotować lub zweryfikować umowę powierzenia,

📌 przygotować Arkusz oceny procesora,

📌 przeprowadzić ocenę dostawcy, który „nie chce współpracować”,

📌 przygotować formalne wezwanie do uregulowania przetwarzania danych,

📌 wykonać ocenę ryzyka dalszej współpracy,

📌 uporządkować dokumentację RODO Twojej JDG.

Nie musisz być prawnikiem ani specjalistą IT, żeby mieć nad tym kontrolę.

Potrzebujesz po prostu wiedzieć:

komu dajesz dane, po co, na jakiej podstawie, na jakich zasadach i czy potrafisz to wykazać.

Jeżeli prowadzisz JDG i korzystasz z zewnętrznego IT, księgowości, chmury, CRM, systemu fakturowania lub innych usług SaaS — warto sprawdzić to zanim zrobi to UODO albo zanim zrobi to Twój klient po incydencie.

Napisz do mnie „JDG + IT” — sprawdzimy, gdzie w Twojej firmie może być problem i co trzeba uporządkować.

Maile: rodoamaj@gmail.com 

Firma może nawet nie wiedzieć, że właśnie doszło do przetwarzania danych przez zewnętrzne narzędzie AI

 

SHADOW AI.

Pracownik korzysta z ChatGPT, Gemini, Copilot albo innego narzędzia AI.

Wrzuca:

📄 umowę,
📧 treść maila,
👤 dane klienta,
📊 tabelę pracowników,
🏥 informacje o pacjencie,
📑 dokumentację firmy.

Klik.

I gotowe.

Tylko jest jeden problem.

Firma może nawet nie wiedzieć, że właśnie doszło do przetwarzania danych przez zewnętrzne narzędzie AI.

To właśnie jeden z problemów Shadow AI.

A teraz kilka pytań do przedsiębiorcy:

Czy wiesz, z jakich narzędzi AI korzystają Twoi pracownicy?

Czy wiesz, jakie dane do nich wprowadzają?

Czy firma zaakceptowała korzystanie z tych narzędzi?

Czy sprawdziłeś dostawcę AI?

Czy wiesz, gdzie przetwarzane są dane?

Czy zweryfikowałeś role administratora i procesora?

Czy przeanalizowałeś podstawę prawną przetwarzania?

Czy zrobiłeś analizę ryzyka?

Czy w przypadku danych szczególnych kategorii masz dodatkowe zabezpieczenia?

Czy pracownik wie, czego absolutnie nie wolno mu wkleić do AI?

Jeżeli na kilka pytań odpowiadasz:

„Nie wiem”

to masz problem.

Nie dlatego, że AI jest złe.

Problemem jest AI używane bez zasad i bez kontroli.

Shadow AI może oznaczać:

🔴 niekontrolowane przekazanie danych osobowych,
🔴 ujawnienie tajemnicy przedsiębiorstwa,
🔴 przekazanie danych klientów,
🔴 przetwarzanie danych pracowników poza kontrolowanym środowiskiem,
🔴 naruszenie zasady minimalizacji,
🔴 brak możliwości wykazania zgodności z RODO,
🔴 ryzyko naruszenia poufności,
🔴 nieznane przepływy danych,
🔴 niekontrolowane korzystanie z kolejnych dostawców i podmiotów przetwarzających.

I najważniejsze:

zakaz używania AI nie rozwiązuje problemu.

Pracownik może po prostu użyć AI z prywatnego konta.

Dlatego potrzebujesz nie tylko zakazu.

Potrzebujesz:

POLITYKI + PROCEDURY + SZKOLENIA + ANALIZY RYZYKA + KONTROLI.

I właśnie tutaj może pojawić się zewnętrzny IOD.

IOD NA ABONAMENT MOŻE WSPIERAĆ FIRMĘ M.IN. W:

✔ stworzeniu zasad korzystania z AI,
✔ identyfikacji procesów wykorzystujących AI,
✔ analizie ryzyka,
✔ weryfikacji dostawców AI,
✔ ocenie umów powierzenia,
✔ określeniu kategorii danych, których nie wolno wprowadzać do określonych narzędzi,
✔ aktualizacji RCP/ROPA,
✔ wsparciu przy DPIA, jeżeli jest wymagana,
✔ szkoleniu pracowników,
✔ monitorowaniu przestrzegania zasad,
✔ reagowaniu na incydenty.

Dlaczego abonament?

Bo AI nie jest projektem jednorazowym.

Narzędzia się zmieniają.

Pojawiają się nowe funkcje.

Pracownicy znajdują nowe zastosowania.

Firma kupuje kolejne systemy.

Zmieniają się procesy.

Dlatego zamiast:

„Zrobiliśmy politykę AI w 2026 roku i wrócimy do niej kiedyś”

lepiej mieć:

stały nadzór IOD nad tym, jak AI jest wykorzystywana w organizacji.

AI może być ogromnym wsparciem dla biznesu.

Ale Shadow AI może być ogromnym problemem dla administratora.

Nie pytaj więc:

„Czy moi pracownicy używają AI?”

Załóż, że prawdopodobnie używają.

Zapytaj:

„Czy wiem do czego i czy mam nad tym kontrolę?”

IOD zewnętrzny na abonament – ochrona danych nie tylko wtedy, gdy pojawia się problem.

📩 Jeśli chcesz uporządkować AI w swojej firmie i sprawdzić, czy nie masz problemu z Shadow AI – napisz do mnie: „SHADOW AI”.

Maile: rodoamaj@gmail.com 

KONTROLA ROCZNA PROCESORA – 15 PYTAŃ z RODO

 

Poniżej gotowa, uproszczona wersja do stosowania raz w roku przez ADO/JDG wobec procesora, np. firmy obsługującej oprogramowanie księgowe. Jest celowo krótka, ale obejmuje kluczowe wymagania art. 28 i art. 32 RODO.

KONTROLA ROCZNA PROCESORA – 15 PYTAŃ

Nazwa procesora: ........................................................................................................
Usługa/system: .............................................................................................................
Administrator danych: ....................................................................................................
Data kontroli: ........................................
Osoba dokonująca kontroli: ............................................................................................

Cel kontroli

Celem kontroli jest okresowa weryfikacja, czy podmiot przetwarzający realizuje wymagania wynikające z art. 28 i art. 32 RODO oraz postanowień zawartej umowy powierzenia przetwarzania danych osobowych.

Sposób oceny:
☐ TAK – spełnia wymaganie
☐ NIE – stwierdzono niezgodność
☐ N/D – nie dotyczy
☐ DO UZUPEŁNIENIA – wymagane dodatkowe informacje lub dokumenty

 

I. UMOWA I ZAKRES POWIERZENIA

1. Czy nadal obowiązuje umowa powierzenia przetwarzania danych osobowych zgodna z art. 28 RODO?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

2. Czy zakres przetwarzanych danych i kategorii osób odpowiada zakresowi określonemu w umowie powierzenia?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

3. Czy procesor przetwarza dane wyłącznie na udokumentowane polecenie administratora i nie wykorzystuje ich do własnych celów?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

 

II. BEZPIECZEŃSTWO PRZETWARZANIA

4. Czy procesor stosuje odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo danych zgodnie z art. 32 RODO?

☐ TAK ☐ NIE ☐ N/D

Uwagi / uzyskane dokumenty:
..................................................................................................................................

5. Czy dostęp do danych posiadają wyłącznie osoby upoważnione i posiadające odpowiednie uprawnienia?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

6. Czy stosowane są odpowiednie mechanizmy uwierzytelniania i kontroli dostępu, w tym – jeżeli jest to adekwatne – uwierzytelnianie wieloskładnikowe?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

7. Czy wykonywane są kopie zapasowe danych oraz czy procesor posiada procedurę odtworzenia danych w przypadku awarii?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

8. Czy w okresie ostatnich 12 miesięcy wystąpiły incydenty lub naruszenia ochrony danych związane z powierzonymi danymi?

☐ NIE
☐ TAK – zostały zgłoszone administratorowi
☐ TAK – nie zostały zgłoszone administratorowi

Jeżeli TAK – opis i sposób obsługi:
..................................................................................................................................

 

III. PODMIOTY PODPRZETWARZAJĄCE I LOKALIZACJA DANYCH

9. Czy procesor korzysta z podmiotów podprzetwarzających i czy administrator posiada aktualną listę tych podmiotów?

☐ NIE
☐ TAK – lista aktualna
☐ TAK – lista wymaga aktualizacji

Uwagi:
..................................................................................................................................

10. Czy w ostatnim roku nastąpiła zmiana podmiotów podprzetwarzających, dostawcy hostingu, lokalizacji danych lub zasad przekazywania danych poza EOG?

☐ NIE
☐ TAK – zmiana została zgłoszona/zaakceptowana
☐ TAK – wymaga dodatkowej weryfikacji

Uwagi:
..................................................................................................................................

 

IV. REALIZACJA OBOWIĄZKÓW PROCESORA

11. Czy procesor posiada procedurę reagowania na incydenty i zapewnia administratorowi niezwłoczne informacje potrzebne do oceny naruszenia z art. 33 i 34 RODO?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

12. Czy procesor zapewnia administratorowi pomoc w realizacji praw osób, których dane dotyczą, w szczególności w zakresie dostępu, sprostowania, usunięcia, ograniczenia przetwarzania i przenoszenia danych?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

13. Czy procesor po zakończeniu świadczenia usługi zapewni zwrot lub usunięcie danych zgodnie z decyzją administratora i art. 28 ust. 3 lit. g RODO?

☐ TAK ☐ NIE ☐ N/D

Uwagi:
..................................................................................................................................

14. Czy procesor umożliwia administratorowi przeprowadzenie kontroli, audytu lub uzyskanie informacji niezbędnych do wykazania spełnienia obowiązków wynikających z art. 28 RODO?

☐ TAK ☐ NIE ☐ N/D

Uwagi / uzyskane dokumenty:
..................................................................................................................................

15. Czy w ocenie administratora procesor nadal daje wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania?

☐ TAK – brak działań
☐ TAK – wymagane działania doskonalące
☐ NIE – wymagane działania korygujące
☐ WYMAGA POGŁĘBIONEJ KONTROLI

Uzasadnienie:
..................................................................................................................................

 

PODSUMOWANIE KONTROLI

Wynik kontroli

☐ A – zgodność potwierdzona – brak niezgodności wymagających działań.

☐ B – zgodność z zaleceniami – stwierdzono uchybienia o niskim ryzyku, niewymagające wstrzymania przetwarzania.

☐ C – niezgodność wymagająca działań korygujących – procesor powinien przedstawić plan i termin usunięcia niezgodności.

☐ D – kontrola pogłębiona – stwierdzono okoliczności wymagające dodatkowej analizy, w szczególności incydent, zmianę podprocesora, zmianę lokalizacji danych, istotną zmianę systemu lub poważne uchybienia bezpieczeństwa.

Stwierdzone niezgodności / zalecenia

Dokumenty / dowody uzyskane podczas kontroli

☐ aktualna umowa powierzenia
☐ lista podprocesorów
☐ informacja o lokalizacji danych
☐ informacja o środkach bezpieczeństwa
☐ potwierdzenie procedury obsługi incydentów
☐ potwierdzenie wykonywania kopii zapasowych
☐ inne: ....................................................................................

Decyzja administratora

☐ pozostawić procesora bez dodatkowych działań
☐ zobowiązać procesora do działań korygujących
☐ przeprowadzić kontrolę uzupełniającą
☐ przeprowadzić pogłębioną kontrolę procesora
☐ dokonać ponownej oceny zasadności korzystania z procesora

Data następnej kontroli: ............................................................

Kontrola wcześniejsza zostanie przeprowadzona w przypadku:

• naruszenia ochrony danych,
• istotnej zmiany zakresu przetwarzania,
• zmiany podprocesora lub lokalizacji danych,
• istotnej zmiany systemu lub infrastruktury,
• stwierdzenia poważnej niezgodności,
• innych okoliczności mogących wpływać na bezpieczeństwo przetwarzania.

Osoba dokonująca kontroli:
............................................................

Administrator / ADO:
............................................................

Ta wersja nadaje się jako coroczny dowód realizacji obowiązku monitorowania procesora przez administratora. Przy procesorze wysokiego ryzyka warto potraktować te 15 pytań jako kontrolę podstawową, a w przypadku odpowiedzi „NIE” lub „DO UZUPEŁNIENIA” przejść do pełnego audytu procesora.

FIRMA IT, KTÓRA OBSŁUGUJE DANE KLIENTÓW, POWINNA MIEĆ WŁASNY SYSTEM ZGODNOŚCI Z RODO

 

MASZ 50 KLIENTÓW?

To może oznaczać, że masz również:

50 potencjalnych problemów z RODO.

Brzmi ostro?

Bo takie właśnie jest RODO w outsourcingu IT.

Każdy klient to potencjalnie:

🔴 inny zakres danych,
🔴 inne systemy,
🔴 inni użytkownicy,
🔴 inne lokalizacje danych,
🔴 inni podprocesorzy,
🔴 inne wymagania bezpieczeństwa,
🔴 inna umowa powierzenia,
🔴 inne ryzyka.

A teraz wyobraź sobie, że przy 50 klientach każdą umowę sprawdzasz ręcznie.

Albo jeszcze gorzej:

każdy klient przysyła Ci swój wzór umowy powierzenia, a Ty po prostu go podpisujesz.

To nie jest system.

To jest zarządzanie ryzykiem na pamięć.

FIRMA IT POWINNA MIEĆ SWÓJ STANDARD.

Czyli:

1️⃣ WŁASNY WZÓR UMOWY POWIERZENIA

Dostosowany do rzeczywistych usług:

☁️ chmura
🖥️ serwery
💾 backup
📧 poczta
🔧 administracja systemami
🏥 EDM
🛒 e-commerce
🧑‍💻 helpdesk
🔐 cyberbezpieczeństwo

2️⃣ ARKUSZ WERYFIKACJI UMOWY

Przed podpisaniem sprawdzasz:

✔ przedmiot i czas przetwarzania,
✔ zakres danych,
✔ kategorie osób,
✔ cele przetwarzania,
✔ podprocesorów,
✔ transfery danych,
✔ obowiązki procesora,
✔ bezpieczeństwo,
✔ naruszenia,
✔ audyty,
✔ zakończenie współpracy.

3️⃣ ARKUSZ ZGODNOŚCI USŁUGI Z UMOWĄ

Bo najważniejsze pytanie brzmi:

CZY TO, CO ROBISZ TECHNICZNIE, ZGADZA SIĘ Z TYM, CO PODPISAŁEŚ?

Umowa mówi:

„brak dalszych podmiotów przetwarzających”.

A Ty korzystasz z AWS, Microsoft, Google, zewnętrznego backupu i firmy serwisowej?

Problem.

Umowa mówi:

„dane przechowywane na terenie EOG”.

A część infrastruktury znajduje się poza EOG?

Problem.

Umowa mówi:

„dostęp wyłącznie dla upoważnionego personelu”.

A administratorzy zewnętrznej firmy mają dostęp do systemu?

Problem.

I właśnie dlatego potrzebujesz SYSTEMU.

Nie kolejnego PDF-a.

Nie kolejnej umowy skopiowanej z Internetu.

SYSTEMU OBSŁUGI RODO DLA PROCESORA IT.

Dzięki niemu przy 5 klientach, 50 klientach czy 200 klientach nie zaczynasz za każdym razem od zera.

Masz:

📋 standardową umowę,
📋 checklistę weryfikacyjną,
📋 arkusz kontroli procesora,
📋 rejestr podprocesorów,
📋 procedurę obsługi naruszeń,
📋 procedurę realizacji żądań administratora,
📋 wymagania bezpieczeństwa,
📋 dokumentowanie kontroli.

CO TO DAJE?

Mniej chaosu.

Szybsze podpisywanie umów.

Mniej błędów.

Lepszą obsługę klientów.

Większą przewidywalność.

I przede wszystkim:

możliwość wykazania, że Twoja firma IT rzeczywiście zarządza ochroną danych, a nie tylko podpisuje dokumenty RODO.

Bo kiedy wydarzy się incydent, klient nie będzie pytał:

„Czy macie jakąś umowę powierzenia?”

Zapyta:

„Proszę pokazać, jak zapewniacie bezpieczeństwo danych moich klientów.”

I wtedy dobrze mieć coś więcej niż plik:

„Umowa_powierzenia_final_final2.docx”.

FIRMO IT – ZBUDUJ SWÓJ SYSTEM RODO, ZANIM ZBUDUJE GO ZA CIEBIE INCYDENT.

Przygotowuję dla firm IT pakiet dokumentacji RODO dla procesora, obejmujący m.in.:

🔹 wzór umowy powierzenia,
🔹 arkusz badania umowy,
🔹 arkusz zgodności usług z umową,
🔹 kontrolę podprocesorów,
🔹 wymagania wobec dostawców,
🔹 procedurę obsługi naruszeń,
🔹 dokumentowanie kontroli i nadzoru.

Chcesz sprawdzić, jak taki system można zbudować w Twojej firmie?

📩 Napisz: „IT + RODO”.

Maile: rodoamaj@gmail.com 

AUDYT PROCESORA IT DLA PRAKTYKI LEKARSKIEJ

 

LEKARZU, TWÓJ PROCESOR MOŻE WŁAŚNIE ZGOTOWAĆ CI POZEW.

Nieświadomie.

Bo wystarczy, że jego system zostanie zaatakowany, dane pacjentów wyciekną, a potem okaże się, że:

❌ nie sprawdzałeś zabezpieczeń procesora,
❌ nie kontrolowałeś jego podwykonawców,
❌ nie wiedziałeś, gdzie faktycznie są dane,
❌ nie wiedziałeś, kto ma dostęp administracyjny,
❌ nie miałeś aktualnej analizy ryzyka,
❌ nie miałeś procedury reagowania na incydent.

I wtedy możesz usłyszeć:

„Ale przecież to firma IT odpowiadała za system.”

Tylko że pacjent może zapytać:

„A kto był administratorem moich danych?”

I tutaj kończy się wygodne myślenie, że:

„Mam podpisaną umowę z informatykiem, więc RODO mam załatwione.”

Nie.

Umowa powierzenia z art. 28 RODO nie zastępuje nadzoru nad procesorem.

A dokument podpisany trzy lata temu nie zabezpieczy Cię przed problemem, który wydarzy się jutro.

CO ZROBIŁBYM NA TWOIM MIEJSCU?

Sprawdziłbym procesora zanim zrobi to UODO albo pacjent.

Nie interesuje mnie wyłącznie to, co firma IT napisała w ofercie.

Sprawdziłbym m.in.:

🔎 gdzie znajdują się dane pacjentów,
🔎 kto ma do nich dostęp,
🔎 kto jest podprocesorem,
🔎 czy dane opuszczają EOG,
🔎 jak wykonywane są backupy,
🔎 czy backup można rzeczywiście odtworzyć,
🔎 czy stosowane jest MFA,
🔎 jak zarządzane są konta administratorów,
🔎 jak rejestrowany jest dostęp do danych,
🔎 jak szybko procesor informuje o incydencie,
🔎 czy procesor testuje swoje zabezpieczenia,
🔎 co dzieje się z danymi po zakończeniu współpracy.

I przede wszystkim:

czy lekarz może udowodnić, że jako administrator właściwie zweryfikował i nadzorował procesora.

BO DZISIAJ NIE WYSTARCZY POWIEDZIEĆ:

„Mam firmę IT.”

Trzeba wiedzieć:

CO TA FIRMA ROBI Z DANYMI TWOICH PACJENTÓW.

I trzeba umieć to wykazać.

Dlatego uruchamiam usługę:

🔴 AUDYT PROCESORA IT DLA PRAKTYKI LEKARSKIEJ

Sprawdzam nie tylko samą umowę powierzenia.

Sprawdzam relację lekarz → procesor → podprocesorzy → systemy → dane pacjentów → zabezpieczenia → reakcja na incydent.

Po audycie otrzymujesz:

✔ wykaz stwierdzonych niezgodności,
✔ ocenę ryzyka,
✔ wskazanie brakujących zabezpieczeń,
✔ listę pytań i wymagań do procesora,
✔ rekomendacje zmian w umowie i organizacji współpracy,
✔ wskazanie działań priorytetowych,
✔ materiał pozwalający wykazać, że administrator nie pozostawił bezpieczeństwa danych wyłącznie w rękach dostawcy IT.

Nie czekaj na wyciek, żeby sprawdzić, czy Twój procesor rzeczywiście chroni dane pacjentów.

Bo po wycieku pytanie:

„Czy można było zrobić coś wcześniej?”

może być znacznie droższe niż audyt wykonany dzisiaj.

📩 Jeżeli prowadzisz prywatną praktykę lekarską i korzystasz z zewnętrznego IT/EDM/chmury – napisz do mnie „PROCESOR”.

Sprawdzimy, gdzie naprawdę znajduje się Twoje ryzyko.

Maile: rodoamaj@gmail.com